การโจมตีโปรโตคอล Swan Treasury
โปรโตคอลการจัดการสินทรัพย์ Blockchain อย่าง Swan Treasury ประสบกับการสูญเสียประมาณ 625,000 ดอลลาร์ หลังจากที่ผู้โจมตีใช้ประโยชน์จากการรั่วไหลของกุญแจผู้ลงนามนอกเชนเพื่อซื้อโทเค็น STY ในราคาลดพิเศษ ก่อนที่จะขายเพื่อทำกำไร ตามข้อมูลจากบริษัทความปลอดภัย Blockchain Defimon Alerts.
รายละเอียดการโจมตี
การโจมตีเกิดขึ้นบน BNB Chain หลังจากที่กุญแจผู้ลงนามนอกเชนของโปรโตคอล ซึ่งถูกเข้ารหัสเป็น signer address ในสัญญา ZhaiquanBuy ถูกโจมตี โดยการสูญเสียประมาณ 625,000 ดอลลาร์ (30 กรกฎาคม 2026) โทเค็น: $STY ที่ราคา 2.87 ดอลลาร์.
“กุญแจผู้ลงนามนอกเชนของโปรโตคอล (0xdEb4…8284, เข้ารหัสเป็น _signer ใน ZhaiquanBuy) ถูกโจมตี”
ผู้โจมตีใช้กุญแจที่รั่วไหลเพื่อสร้างลายเซ็นที่ถูกต้องสำหรับกระเป๋าเงินของตนเอง ทำให้พวกเขาสามารถข้ามข้อจำกัดในการซื้อที่ตั้งใจไว้ของโปรโตคอลได้ Defimon Alerts กล่าวว่าผู้โจมตีได้ปรับเปลี่ยนฟังก์ชันการซื้อ ซึ่งคำนวณจำนวน STY ที่ผู้ใช้ได้รับตามค่าลดราคาที่ลงนาม โดยการสร้างลายเซ็นที่ถูกต้องพร้อมกับพารามิเตอร์ลดราคาที่ตั้งไว้เป็นหนึ่ง.
ผลกระทบจากการโจมตี
ผู้โจมตีจึงซื้อ STY ในราคาประมาณหนึ่งร้อยของราคาที่ตั้งใจไว้ โดยใช้เงินกู้ด่วนจาก PancakeSwap มูลค่าประมาณ 19,700 USDT. ผู้โจมตีได้ซื้อโทเค็น STY เกือบ 687,000 โทเค็น ผ่านกลไกการซื้อในราคาลดพิเศษ.
บริษัทความปลอดภัยกล่าวว่าการโจมตีไม่ได้หยุดอยู่แค่นั้น ลายเซ็นที่ถูกต้องยังถูกปลอมแปลงสำหรับฟังก์ชันการเรียกร้องและการโอนของโปรโตคอลในสัญญาที่เกี่ยวข้อง ทำให้ผู้โจมตีเข้าถึง STY เพิ่มเติมก่อนที่จะขายโทเค็นเข้าสู่พูลสภาพคล่อง STY/USDT หลังจากที่ยกเลิกตำแหน่ง ผู้โจมตีได้รับกำไรประมาณ 625,000 USDT.
การวิเคราะห์ทางเทคนิค
ตามข้อมูลจาก Defimon Alerts, ทุกการดำเนินการ ecrecover ที่สังเกตเห็นระหว่างการโจมตีได้แก้ไขไปยังที่อยู่ผู้ลงนามที่เข้ารหัสไว้ของโปรโตคอลแทนที่จะเป็นบัญชีที่ควบคุมโดยผู้โจมตี. บริษัทกล่าวว่าพฤติกรรมนี้บ่งชี้ว่ากุญแจผู้ลงนามส่วนตัวเองถูกโจมตีแทนที่จะเป็นโปรโตคอลที่มีข้อบกพร่องในตรรกะการตรวจสอบลายเซ็น.
การเปิดเผยกุญแจผู้ลงนาม
ขณะนี้ Swan Treasury ยังไม่ได้อธิบายต่อสาธารณะว่ากุญแจผู้ลงนามถูกเปิดเผยได้อย่างไรหรือมีการดำเนินการบรรเทาเพิ่มเติมหรือไม่. เหตุการณ์นี้เพิ่มขึ้นในชุดการโจมตีคริปโตที่กุญแจที่มีสิทธิพิเศษถูกโจมตี แทนที่จะเป็นข้อบกพร่องในสัญญาอัจฉริยะ ทำให้ผู้โจมตีเข้าถึงเงินทุนของโปรโตคอล.
ความเสี่ยงด้านความปลอดภัยในอุตสาหกรรม
การวิจัยแยกต่างหากยังคงระบุว่าการเปิดเผยกุญแจส่วนตัวเป็นหนึ่งในความเสี่ยงด้านความปลอดภัยที่ยั่งยืนที่สุดในอุตสาหกรรม. รายงานของ Hacken ที่อ้างถึงโดย crypto.news ก่อนหน้านี้พบว่าความล้มเหลวในการควบคุมการเข้าถึง รวมถึงการรั่วไหลของกุญแจส่วนตัว คิดเป็น 78% ของการสูญเสียจากการโจมตีคริปโตที่บันทึกไว้ในปี 2024.
นักวิจัยทางวิชาการและผู้เล่นในอุตสาหกรรมคริปโตก็ได้เตือนว่าความปลอดภัยของกุญแจส่วนตัวยังคงมีความเสี่ยงนอกเหนือจากการโจมตีสัญญาอัจฉริยะแบบดั้งเดิม. นักวิจัยจากมหาวิทยาลัยแคลิฟอร์เนียรายงานเมื่อต้นปีนี้ว่าบริการการจัดเส้นทาง AI ของบุคคลที่สามบางรายสามารถเข้าถึงข้อมูลรับรองที่ละเอียดอ่อน รวมถึงกุญแจส่วนตัวของ cryptocurrency และวลี seed ได้.
การศึกษาของมหาวิทยาลัยได้สรุปว่านักพัฒนาควรหลีกเลี่ยงการเปิดเผยกุญแจส่วนตัวหรือวลี seed ต่อระบบกลาง และควรพึ่งพาการป้องกันทางคณิตศาสตร์ที่แข็งแกร่งขึ้นเพื่อลดความเสี่ยงในการขโมยข้อมูลรับรอง.
